在Click中将AWS Direct Connect配置为使用SD-WAN的传输

下载选项

PDF (881.1 KB)
在各种设备上使用 Adobe Reader 查看
ePub (522.2 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (397.9 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2022 年 10 月 18 日

文档 ID:217773

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍如何使用Amazon Web Services(AWS)Direct Connect作为软件定义的广域网(SD-WAN)传输。

背景信息

AWS Direct Connect作为Cisco SD-WAN的另一种传输方式的主要优势在于，能够在整体传输中使用SD-WAN策略，包括

AWS Direct Connect。

在AWS上运行工作负载的企业用户使用AWS Direct Connect进行数据中心或中心连接。同时，公共Internet连接在数据中心的应用中也很常见，它被用作与其他位置建立SD-WAN连接的基础。本文档介绍如何将AWS Direct Connect用作思科SD-WAN的基础。用户可以创建SD-WAN应用感知策略，通过Direct Connect路由关键应用，并在发生违反服务级别协议(SLA)的情况时通过公共互联网重新路由。

问题

AWS Direct Connect不提供本地SD-WAN功能。企业SD-WAN用户提出的典型问题包括：

是否可以使用AWS Direct Connect作为Cisco SD-WAN的基础？
如何互连AWS Direct Connect和Cisco SD-WAN?
如何创建可恢复的、安全且可扩展的解决方案？

解决方案

设计概述

关键设计点是数据中心通过AWS Direct Connect连接到SD-WAN Transit虚拟私有云(VPC)中的虚拟网关(VGW)，如图所示。

High-Level View of SD-WAN Tunnel Building from DC to the Cloud via Private and Public Transport

此解决方案的优势包括：

完全自动：Cisco Cloud onRamp for Multicloud自动化可用于部署带有两个SD-WAN路由器和新的AWS传输网关(TGW)的SD-WAN传输VPC。主机VPC可作为Cloud onRamp的一部分被发现，只需点击一下即可映射到SD-WAN网络。
Direct Connect上的完整SD-WAN:AWS Direct Connect只是另一个SD-WAN传输。所有SD-WAN功能（如应用感知策略、加密等）均可本地用于AWS Direct Connect上的SD-WAN隧道。
推荐的设计避免了AWS对AWS Direct Connect(20/100)前缀数量的限制。

解决方案详细信息

此图显示一个通过Direct Connect连接到SD-WAN传输VPC中的VGW(color private1)以及公共Internet(color biz-internet)的AWS区域和数据中心。请注意，AWS SD-WAN c8kv路由器使用SD-WAN color private2进行Internet连接。

High-Level View of SD-WAN Private and Public Underlay from DC to the Cloud

步骤1:准备

确保Cisco vManage定义了活动的AWS帐户，并且正确配置了Cloud onRamp全局设置。

另请在vManage中定义互联合作伙伴帐户。在此博客中，Megaport用作互连合作伙伴，因此您可以定义相应的帐户和全局设置。

第二步：数据中心SD-WAN路由器配置

Interface GigabitEthernet1用于带彩色商务Internet的公共Internet连接，Interface GigabitEthernet1.1352用于带color private1的AWS Direct Connect。

请注意，AWS SD-WAN路由器具有private color private2，用于互联网连接以及通过Direct connect进行连接。 SD-WAN隧道在Internet上使用公有IP地址形成，SD-WAN隧道（使用同一接口）通过直接连接电路建立，使用私有IP地址连接到DC/站点。这意味着，数据中心路由器（商业Internet颜色）通过具有公共IP地址的Internet和通过专用IP的专用颜色与AWS SD-WAN路由器（专用2颜色）建立连接。

有关SD-WAN颜色的常规信息：

传输定位器(TLOC)是指用于将SD-WAN路由器连接到底层网络的WAN传输(VPN 0)接口。每个TLOC通过SD-WAN路由器的系统IP地址、WAN接口的颜色和传输封装（GRE或IPsec）的组合进行唯一标识。思科重叠管理协议(OMP)用于在SD-WAN路由器之间分发TLOC（也称为TLOC路由）、SD-WAN重叠前缀（也称为OMP路由）和其他信息。SD-WAN路由器知道如何通过TLOC路由相互访问并建立IPsec VPN隧道。

SD-WAN路由器和/或控制器（vManage、vSmart或vBond）可以位于网络中的网络地址转换(NAT)设备后面。当SD-WAN路由器对vBond控制器进行身份验证时，vBond控制器会在交换时获取SD-WAN路由器的专用IP地址/端口号和公共IP地址/端口号设置。vBond控制器充当NAT(STUN)服务器的会话遍历实用程序，并允许SD-WAN路由器发现其WAN传输接口的映射和/或转换的IP地址和端口号。

在SD-WAN路由器上，每个WAN传输都与一个公有和私有IP地址对关联。私有IP地址被视为前NAT地址。这是分配给SD-WAN路由器的WAN接口的IP地址。虽然这被视为私有IP地址，但此IP地址可以是公开可路由IP地址空间的一部分，也可以是IETF RFC 1918非公开可路由IP地址空间的一部分。公有IP地址被视为后NAT地址。当SD-WAN路由器最初与vBond服务器进行通信和身份验证时，vBond服务器会检测到这种情况。公有IP地址也可以是公开可路由IP地址空间的一部分，也可以是IETF RFC 1918非公开可路由IP地址空间的一部分。在没有NAT的情况下，SD-WAN传输接口的公有IP地址和私有IP地址相同。

TLOC颜色是静态定义的关键字，用于标识每个SD-WAN路由器上的单个WAN传输。给定SD-WAN路由器上的每个WAN传输都必须具有唯一的颜色。颜色还用于将单个WAN传输标识为公共或私有。城域以太网、Mpls和private1、private2、private3、private4、private5和private6颜色被视为专用颜色。它们用于私有网络或没有NAT的地方。颜色为3g、biz-internet、blue、bronze、custom1、custom2、custom3、default、gold、green、lte、public-internet、red和silver被视为公共颜色。它们用于本地或通过NAT的公共网络或WAN传输接口具有公共IP地址的位置。

当私有IP地址或公有IP地址通过控制平面和数据平面通信时，颜色决定了它们的用途。当两个SD-WAN路由器尝试相互通信时，它们都使用带有专用颜色的WAN传输接口，并且两端都尝试连接到远程路由器的专用IP地址。如果一端或两端使用公共颜色，则两端均尝试连接到远程路由器的公共IP地址。例外情况是两台设备的站点ID相同。当站点ID相同，但颜色为公共时，则使用专用IP地址进行通信。尝试与位于同一站点的vManage或vSmart控制器通信的SD-WAN路由器可能会出现这种情况。请注意，SD-WAN路由器具有相同站点ID时，默认情况下不会在彼此之间建立IPsec VPN隧道。

interface GigabitEthernet1
 ip address dhcp client-id GigabitEthernet1
 ip dhcp client default-router distance 1
 mtu 1500
!
interface GigabitEthernet1.1352
 encapsulation dot1Q 1352
 ip address 198.18.0.5 255.255.255.252
 ip mtu 1496
!
interface Tunnel1
 ip unnumbered GigabitEthernet1
 tunnel source GigabitEthernet1
 tunnel mode sdwan
!
interface Tunnel1352001
 ip unnumbered GigabitEthernet1.1352
 tunnel source GigabitEthernet1.1352
 tunnel mode sdwan
!
!
sdwan
 interface GigabitEthernet1
  tunnel-interface
   encapsulation ipsec weight 1
   color biz-internet
   allow-service all
  !
 !
 interface GigabitEthernet1.1352
  tunnel-interface
   encapsulation ipsec weight 1
   color private1
   max-control-connections 0
   allow-service all
  !
 !
system
 system-ip             61.61.61.61
 site-id               61
 ...
!

DC-MP-CGW1#sh ip int bri
GigabitEthernet1       162.43.145.3    YES DHCP   up                    up      
GigabitEthernet1.1352  198.18.0.5      YES other  up                    up      
...
Tunnel1                162.43.145.3    YES TFTP   up                    up      
Tunnel1352001          198.18.0.5      YES TFTP   up                    up 
DC-MP-CGW1#

DC-MP-CGW1#sh sdwan bfd sessions | i 25.25.25.25
25.25.25.25      25       down        biz-internet     private1         162.43.145.3                    10.211.1.89                     12367       ipsec  7           1000           NA              0             
25.25.25.25      25       up          biz-internet     private2         162.43.145.3                    18.168.222.153                  12387       ipsec  7           1000           10 0:09:34:05   0             
25.25.25.25      25       up          private1         private2         198.18.0.5                      10.211.1.56                     12387       ipsec  7           1000           10 0:09:33:17   0             
25.25.25.25      25       down        private1         private1         198.18.0.5                      10.211.1.89                     12367       ipsec  7           1000           NA              0             
DC-MP-CGW1#

数据中心SD-WAN路由器上用于AWS Direct Connect的边界网关协议(BGP)配置：

router bgp 64513
 neighbor 198.18.0.6 remote-as 64512
 neighbor 198.18.0.6 description hosted-connection
 neighbor 198.18.0.6 password 
     
     
       address-family ipv4 unicast neighbor 198.18.0.6 activate neighbor 198.18.0.6 send-community both network 198.18.0.4 mask 255.255.255.252 exit-address-family ! !

数据中心SD-WAN路由器从SD-WAN Transit VPC获取IP前缀10.211.1.0/24。它具有IP地址为198.18.0.6的AWS Direct Connect Router作为下一跳 — 请参阅此处的第7行：

DC-MP-CGW1#sh ip ro
...
Gateway of last resort is 162.43.145.2 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 162.43.145.2
      10.0.0.0/24 is subnetted, 1 subnets
B        10.211.1.0 [20/0] via 198.18.0.6, 09:15:27
      162.43.0.0/16 is variably subnetted, 2 subnets, 2 masks
C        162.43.145.2/31 is directly connected, GigabitEthernet1
L        162.43.145.3/32 is directly connected, GigabitEthernet1
      198.18.0.0/24 is variably subnetted, 2 subnets, 2 masks
C        198.18.0.4/30 is directly connected, GigabitEthernet1.1352
L        198.18.0.5/32 is directly connected, GigabitEthernet1.1352
DC-MP-CGW1#s

第三步：AWS TVPC SD-WAN路由器配置

AWS Transit VPC中的两台SD-WAN路由器均使用Cloud onRamp创建，以实现使用默认vManage模板的多云自动化。两台c8kv路由器都使用private2颜色进行公共Internet连接。

第四步：AWS Direct Connect配置

必须在AWS控制台中创建VGW并将其与SD-WAN Transit VPC或任何云自动化工具相关联。同一VGW必须与Direct Connect相关联，如此处所示。请注意允许的前缀下的SD-WAN TVPC前缀10.211.0.0/16。

VGW Attachment with Direct Connect Gateway

必须在SD-WAN中转VPC的AWS路由表中启用VGW的路由传播 — 请参阅此映像中198.18.0.4/30的最后一个路由。路由传播将DC TLOC通告回中转VPC路由表。

Transit VPC Routing Table

show sdwan bfd sessions CLI的输出来自传输VPC中的c8kv SD-WAN路由器之一，并显示两个SD-WAN隧道：

第一个隧道（请参阅第5行）通过Internet从AWS TVPC中的c8kv传输到数据中心：color private2 > biz-internet。注意目的IP地址 — 它是数据中心路由器的公有IP地址192.0.2.0 — 请参阅上一节中的路由器配置。
第二个隧道（请参阅第6行）通过AWS Direct Connect：从彩色private2到目标IP地址为198.18.0.5的private1。

DC-AWS-EU-CGW1#sh sdwan bfd sessions | i 61
                                      SOURCE TLOC      REMOTE TLOC                                      DST PUBLIC                      DST PUBLIC         DETECT      TX                              
SYSTEM IP        SITE ID  STATE       COLOR            COLOR            SOURCE IP                       IP                              PORT        ENCAP  MULTIPLIER  INTERVAL(msec  UPTIME          TRANSITIONS   
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
61.61.61.61      61       up          private2         biz-internet     10.211.1.56                     162.43.145.3                    12347       ipsec  7           1000           06:05:13        0             
61.61.61.61      61       up          private2         private1         10.211.1.56                     198.18.0.5                      12367       ipsec  7           1000           06:04:26        0             
DC-AWS-EU-CGW1#

共享服务VPC和AWS GWLB中的防火墙安全性

一个非常常见的要求是检查东 — 西和北 — 南流量。通常，不同主机VPC和/或SD-WAN VPN之间的任何流量都要接受防火墙检测。虚拟防火墙在Shared Services VPC中运行，负载均衡可以通过AWS网关负载均衡器(GWLB)实施。

所述设计在集中式检测下运行良好 — 请参阅。

概念验证设置

这些映像用于创建概念验证(PoC)的测试设置：

vManage:192.0.2.1R。此工程映像无实际需要，它也必须与20.6配合使用
c8kv，适用于AWS和Megaport（直接连接/数据中心模拟）：17.4或17.5
使用Megaport模拟了AWS Direct Connect

直接连接至SDCI提供商大端口或Equinix

在实验室环境中获得真正的AWS Direct Connect并不容易。通常，它需要AWS Direct Connect合作伙伴，这成本高昂，而且需要花费时间。

但是，如果您拥有Megaport或Equinix帐户，则只需数分钟，即可使用思科Cloud onRamp创建适用于多云自动化的AWS Direct Connect网关！

如果您已经在vManage中配置了软件定义的数据中心互联(SDCI)和AWS凭证，以下是关键步骤摘要：

如果您没有两个充当AWS上Transit VPC中的云网关的c8kv，请使用适用于AWS的Cloud onRamp(CoR)Multicloud工作流程，并在所需AWS区域使用任何私有颜色的默认AWS CoR路由器模板创建它。
在vManage中，导航到CoR for Multicloud Interconnect配置，并在所需的SDCI区域使用默认SDCI提供商路由器模板创建互联网关(c8kv)。
在vManage的CoR Multicloud Interconnect Configuration页面中，创建具有专用虚拟接口(VIF)的新连接类型Cloud。执行此配置工作流程时，您可以选择创建新的AWS Direct Connect网关并附加主机VPC。因此，请确保此步骤具有“虚拟”主机VPC。
对于步骤2中创建的新c8kv，从vManage配置模式切换到CLI模式，并将隧道从服务端移动到VPN0（删除vrf forwarding语句）。验证BGP连接并确保您在BGP配置中具有network语句：network 198.18.0.4 mask 255.255.255.252。查看完整的数据中心路由器配置和连接的AWS路由器。
在AWS管理控制台中，选择适当的VGW（或创建新的VGW），并在AWS路由表设置中启用路由传播。此外，请确保您已在Direct Connect部分配置了Allowed prefixes — 请参阅本章后面的映像。

此图说明了第3步中的直接连接创建：

Megaport Interconnect Connection Step via vManage Workflow

最后，您会在AWS管理控制台中看到一个新的Direct Connect网关，如下所示。请注意允许的前缀字段，该字段具有传输SD-WAN VPC的CIDR块。